Audits internes ISO 27001 : Exigences et bonnes pratiques

Points clés

Point	Résumé
Exigé par	Clause 9.2, doivent être conduits à intervalles planifiés
Objectif	Vérifier que le SMSI est conforme aux exigences et efficacement implémenté
Fréquence	Au moins annuellement, plus souvent pour les zones à haut risque
Exigences auditeur	Doit être objectif et impartial (indépendance des zones auditées)
Livrables	Programme d'audit, rapports d'audit, constats, reporting au management

Réponse rapide : L'ISO 27001 exige des audits internes au moins annuellement. Les auditeurs doivent être indépendants des zones qu'ils auditent. Les constats doivent être rapportés au management et traités par des actions correctives. Complétez l'audit interne avant votre audit de certification.

Pourquoi les audits internes sont importants

Exigence ISO 27001

La clause 9.2 impose les audits internes :

"L'organisation doit conduire des audits internes à intervalles planifiés pour fournir des informations sur si le système de management de la sécurité de l'information :
a) est conforme aux propres exigences de l'organisation pour son système de management de la sécurité de l'information ;
b) est conforme aux exigences de ce document ;
c) est efficacement implémenté et maintenu."

(Note : L'ISO/IEC 27001 exige des audits à "intervalles planifiés", l'organisation détermine la fréquence selon l'importance des processus et les résultats des audits précédents. L'annuel est une pratique courante mais pas explicitement mandaté par la norme.)

Objectif des audits internes

Objectif	Bénéfice
Vérifier la conformité	S'assurer que le SMSI répond aux exigences
Identifier les problèmes	Trouver les problèmes avant les auditeurs externes
Piloter l'amélioration	Découvrir les opportunités d'amélioration
Démontrer la diligence	Preuve de surveillance systématique
Préparer la certification	Vérification de préparation avant l'audit externe

Audits internes vs externes

Aspect	Audit interne	Audit de certification
Conduit par	Personnel interne ou prestataire	Organisme de certification
Fréquence	Typiquement annuel (minimum)	Initial + surveillance annuelle
Résultat	Constats et recommandations	Décision de certification
Confidentialité	Usage interne	Rapport à l'organisation
Approche	Peut être plus développementale	Strictement vérificatrice

Exigences des audits internes

Ce qu'exige l'ISO 27001

Exigence	Détails
Intervalles planifiés	Programme d'audit planifié
Critères définis	Ce contre quoi on audite
Périmètre défini	Quelles zones/processus couverts
Objectivité de l'auditeur	Indépendance des zones auditées
Processus documenté	Procédures pour l'audit
Résultats rapportés	Constats communiqués au management
Enregistrements conservés	Preuves des audits conduits

Éléments du programme d'audit

Exigences du programme d'audit interne :

1. Planification :

• Fréquence d'audit (au moins annuelle)
• Périmètre d'audit (toutes les clauses et contrôles au fil du temps)
• Critères d'audit (ISO 27001, politiques, procédures)
• Allocation des ressources

2. Exécution :

• Méthodes d'audit (interviews, revue documentaire, tests)
• Sélection des auditeurs (compétents et objectifs)
• Conduite de l'audit (selon le processus défini)
• Collecte de preuves

3. Reporting :

• Constats documentés
• Non-conformités identifiées
• Résultats rapportés au management
• Actions correctives suivies

4. Suivi :

• Actions correctives vérifiées
• Efficacité évaluée
• Programme revu et amélioré

Planifier votre programme d'audit

Planning d'audit

Option 1 : Audit annuel unique

Toutes les zones SMSI auditées en une fois, typiquement avant l'audit externe.

Avantages	Inconvénients
Snapshot complet	Intensif en ressources
Efficace pour petites organisations	Peut manquer des problèmes continus
Timeline de préparation claire	Point unique de défaillance

Option 2 : Programme d'audit glissant

Différentes zones auditées tout au long de l'année.

Avantages	Inconvénients
Effort distribué	Nécessite plus de planification
Surveillance continue	Peut avoir des gaps de couverture
Plus facile à ressourcer	Suivi plus complexe

Exemple de planning d'audit annuel

Programme d'audit interne annuel :

T1 : Contrôles organisationnels :

• Politiques et gouvernance (5.1-5.8)
• Gestion des actifs (5.9-5.14)
• Gestion des incidents (5.24-5.28)

T2 : Accès et personnel :

• Contrôle d'accès (5.15-5.18)
• Contrôles personnel (6.1-6.8)
• Clauses 4-5 (Contexte, Leadership)

T3 : Contrôles techniques :

• Contrôles technologiques (8.1-8.34)
• Contrôles physiques (7.1-7.14)
• Clauses 6-8 (Planification, Support, Opération)

T4 : Revue et amélioration :

• Gestion des fournisseurs (5.19-5.23)
• Continuité d'activité (5.29-5.30)
• Clauses 9-10 (Évaluation, Amélioration)
• Revue de préparation pré-certification

Définition du périmètre d'audit

Pour chaque audit, définissez :

Élément	Exemple
Zones/processus	"Processus de gestion des accès"
Clauses couvertes	"Clauses 5.15-5.18, 8.2, 8.5"
Départements	"IT, RH, Engineering"
Emplacements	"Bureau Paris, infrastructure AWS"
Période	"1er janvier - 31 mars 2024"

Exigences pour les auditeurs

Compétence

Les auditeurs internes ont besoin de :

Compétence	Comment acquérir
Connaissance ISO 27001	Formation, certification
Compétences d'audit	Formation auditeur interne
Compréhension technique	Expérience pertinente
Compétences d'interview	Pratique, formation
Rédaction de rapport	Templates, guidance

Indépendance et objectivité

Exigence	Signification
Ne peut pas auditer son propre travail	N'auditez pas les processus dont vous êtes responsable
Objectif	Pas de biais dans les constats
Libre d'influence	Rapporter les constats sans pression

Solutions pour les petites organisations :

• Audit croisé entre départements
• Rotation des zones d'audit chaque année
• Utiliser des auditeurs internes externes
• Engager un vCISO ou consultant

Conduire les audits internes

Processus d'audit

Processus d'audit interne :

1. Préparation (1-2 semaines avant) :

• Revoir le périmètre et les critères
• Revoir les constats d'audit précédents
• Préparer la checklist d'audit
• Planifier les interviews
• Demander la documentation

2. Réunion d'ouverture :

• Présenter l'équipe d'audit
• Confirmer périmètre et planning
• Expliquer le processus d'audit
• Répondre aux questions

3. Exécution de l'audit (1-5 jours) :

• Revue documentaire
• Interviews
• Observation
• Collecte de preuves
• Tests

4. Réunion de clôture :

• Présenter les constats préliminaires
• Discuter des observations
• Convenir des prochaines étapes
• Remercier les participants

5. Reporting (1-2 semaines après) :

• Compiler les constats
• Rédiger le rapport d'audit
• Classifier les constats
• Distribuer le rapport

6. Suivi :

• Suivre les actions correctives
• Vérifier l'implémentation
• Clôturer les constats

Techniques d'audit

Technique	Utilisation
Revue documentaire	Politiques, procédures, enregistrements
Interviews	Compréhension des processus, sensibilisation
Observation	Contrôles physiques, exécution des processus
Tests	Vérification de l'efficacité des contrôles
Échantillonnage	Preuve d'opération cohérente

Exemple de checklist d'audit

Contrôle d'accès (5.15-5.18) :

Vérification	Méthode	Preuve
Politique de contrôle d'accès existe et est à jour	Revue documentaire	Document de politique, date d'approbation
Provisioning d'accès suit le processus défini	Interview + échantillon	Tickets pour nouveaux employés
Revues d'accès conduites trimestriellement	Revue des enregistrements	Documentation des revues
MFA implémenté pour tous les utilisateurs	Vérification système	Capture d'écran de configuration
Accès retiré rapidement à la fin de contrat	Test par échantillonnage	Enregistrements de départ vs accès

Gestion des risques (Clause 6.1) :

Vérification	Méthode	Preuve
Méthodologie de risque définie	Revue documentaire	Procédure de risque
Évaluation des risques conduite	Revue des enregistrements	Registre des risques
Risques évalués selon la méthodologie	Revue d'échantillon	Calculs d'évaluation
Traitement des risques documenté	Revue documentaire	Plans de traitement
SoA complète et à jour	Revue documentaire	Document SoA

Documenter les constats

Catégories de constats

Catégorie	Définition	Action requise
Non-conformité majeure	Défaillance significative de l'efficacité du SMSI	Action corrective immédiate
Non-conformité mineure	Problème isolé n'affectant pas le SMSI global	Action corrective dans un délai
Observation	Opportunité d'amélioration	Considérer le traitement
Constat positif	Bonne pratique notée	Continuer, éventuellement partager

Rédiger des constats efficaces

Structure du constat :

Élément	Description
Référence	Clause ou contrôle audité
Exigence	Ce qui devrait se passer
Preuve	Ce qui a été observé
Classification	NC Majeure/Mineure, Observation

Exemple de constat :

Constat : NC-2024-003

Classification : Non-conformité mineure

Référence : ISO 27001 Clause 7.2 (Compétence) / Contrôle 6.3

Exigence : Le personnel doit recevoir une éducation et formation appropriées de sensibilisation à la sécurité.

Preuve : La revue des enregistrements de formation a montré que 15 employés sur 47 (32%) n'ont pas complété la formation annuelle de sensibilisation à la sécurité. La formation était due au 31 décembre 2023. Les interviews ont confirmé l'absence de processus de suivi pour les formations incomplètes.

Cause racine : Pas de rappels automatiques ni d'escalade pour les formations incomplètes.

Action recommandée : Implémenter un système de rappel automatique et une escalade management pour les formations incomplètes.

Template de rapport d'audit

Rapport d'audit interne :

1. Résumé exécutif :

• Périmètre et objectifs de l'audit
• Conclusion globale
• Résumé des constats clés

2. Détails de l'audit :

• Dates de l'audit
• Auditeur(s)
• Personnes interviewées
• Documents revus

3. Constats :

• Non-conformités majeures (le cas échéant)
• Non-conformités mineures
• Observations
• Pratiques positives

4. Statistiques :

• Contrôles audités : X
• Conformes : X
• Non conformes : X
• Observations : X

5. Conclusions :

• Évaluation de conformité du SMSI
• Préparation à la certification (le cas échéant)
• Zones clés d'amélioration

6. Annexes :

• Constats détaillés
• Références de preuves
• Suivi des actions correctives

Gestion des actions correctives

Processus d'action corrective

Processus d'action corrective :

1. Constat identifié

2. Analyse de cause racine :

• Analyser pourquoi c'est arrivé

3. Définir l'action corrective :

• Ce qui sera fait
• Qui le fera
• Pour quand

4. Implémenter l'action :

• Exécuter l'action

5. Vérifier l'efficacité :

• Confirmer l'efficacité

6. Clôturer le constat :

• Documenter la clôture

Tableau de suivi des actions correctives

ID Constat	Description	Responsable	Date limite	Statut	Vérifié
NC-2024-001	Revues d'accès manquantes	IT Manager	2024-03-15	Clôturé	Oui
NC-2024-002	Registre des risques incomplet	RSSI	2024-03-30	En cours	-
NC-2024-003	Gaps de formation	RH Manager	2024-04-15	Ouvert	-

Constats d'audit courants

Constats typiques par zone

Documentation :

• Politiques non revues annuellement
• Procédures ne correspondant pas à la pratique
• Documents requis manquants
• Documentation obsolète

Contrôle d'accès :

• Revues d'accès trimestrielles non conduites
• Accès non retiré rapidement à la fin de contrat
• Accès privilégiés excessifs
• MFA non complètement déployé

Gestion des risques :

• Registre des risques non mis à jour
• Méthodologie non suivie
• Risques non liés aux contrôles
• SoA incohérente avec le registre des risques

Formation :

• Formation non complétée
• Pas d'enregistrements de formation
• Contenu de formation obsolète
• Nouveaux employés non formés rapidement

Opérations :

• Contrôles fonctionnant différemment de ce qui est documenté
• Preuves manquantes de l'exécution des contrôles
• Exécution des processus incohérente
• Pas de surveillance de l'efficacité des contrôles

Bonnes pratiques

À faire

Pratique	Bénéfice
Utiliser des checklists	Cohérence et couverture
Tout documenter	Preuves pour l'audit externe
Se concentrer sur les preuves	Constats objectifs
Être constructif	Piloter l'amélioration, pas le blâme
Faire le suivi rapidement	S'assurer que les problèmes sont résolus

À ne pas faire

Pratique	Risque
Bâcler l'audit	Manquer des problèmes
Accepter l'assurance verbale	Pas de preuve pour les auditeurs
Ignorer les problèmes mineurs	Peuvent devenir majeurs
Retarder les actions correctives	Les problèmes s'accumulent
Auditer son propre travail	Conflit avec l'objectivité

L'approche Bastion

Audits internes simplifiés

Bastion supporte des audits internes efficaces :

Défi	Solution Bastion
Planification d'audit	Programmes d'audit pré-construits
Checklists d'audit	Checklists mappées aux contrôles
Collecte de preuves	Collecte automatisée de preuves
Suivi des constats	Gestion intégrée des actions correctives
Support expert	Facilitation d'audit par vCISO

Options d'audit interne

Option	Description
Auto-audit avec guidance	Utiliser les outils et templates Bastion
Audit mené par vCISO	Expert conduit l'audit
Approche hybride	Guidance experte avec exécution interne

---

Besoin d'aide avec votre programme d'audit interne ? Parlez à notre équipe →

---

Sources

• ISO/IEC 27001:2022, Clause 9.2.1 - Exigences d'audit interne